Уязвимость CVE-2026-15563 в IIOP NameService JBoss EAP: отсутствие аутентификации ведёт к MITM и DoS
В компоненте IIOP платформы Red Hat JBoss Enterprise Application Platform обнаружена уязвимость высокого уровня опасности (CVSS 7.4). NameService слушателя принимает bind-операции без аутентификации, что позволяет злоумышленнику перехватывать JNDI-запросы и подменять их на вредоносный ORB. Под угрозой — множество версий EAP, Fuse и Single Sign-On.
Подробности
Уязвимость затрагивает компонент wildfly-iiop-openjdk. Согласно описанию, NameService слушателя принимает операции bind без какой-либо аутентификации. Это открывает злоумышленнику возможность перехватить JNDI-запросы (JNDI lookups) и привязать их к вредоносному ORB (Object Request Broker). В результате успешной эксплуатации атакующий может реализовать атаку типа «человек посередине» (MITM) либо вызвать отказ в обслуживании (DoS) при последующих вызовах. Под уязвимость подпадает широкий спектр продуктов Red Hat: - Red Hat JBoss Enterprise Application Platform 7.4.25; - Red Hat JBoss Enterprise Application Platform 7.4 ELS на RHEL 7, RHEL 8 и RHEL 9; - Red Hat JBoss Enterprise Application Platform 8.1 для RHEL 8, RHEL 9 и RHEL 10; - Red Hat JBoss Enterprise Application Platform 7; - Red Hat JBoss Enterprise Application Platform Expansion Pack; - Red Hat Fuse 7; - Red Hat Single Sign-On 7. Поскольку в основе уязвимости лежит архитектурная особенность протокола IIOP, эксплуатация не требует сложных условий — достаточно сетевого доступа к соответствующему слушателю. Это делает проблему особенно актуальной для сред, где IIOP-интерфейсы доступны из недоверенных сегментов сети.Что делать
Red Hat уже выпустила исправления для затронутых продуктов. Основная рекомендация — как можно скорее обновить JBoss EAP, Fuse и Single Sign-On до актуальных версий, в которых устранена уязвимость CVE-2026-15563. Перед обновлением следует свериться с официальными бюллетенями безопасности Red Hat, чтобы подобрать корректную версию для вашей платформы и операционной системы. Если немедленное обновление невозможно, рекомендуется применить компенсирующие меры: - ограничить сетевой доступ к IIOP-слушателю, закрыв его от внешних и недоверенных подсетей; - использовать межсетевые экраны и правила сегментации для фильтрации трафика на портах IIOP; - по возможности отключить IIOP, если он не используется в вашей конфигурации; - включить мониторинг подозрительной активности, связанной с JNDI и ORB-вызовами. Также стоит проверить, не используются ли затронутые версии в устаревших контурах: ELS-сборки на RHEL 7, RHEL 8 и RHEL 9 требуют особого внимания, поскольку такие среды часто остаются без регулярного обновления. Итог: CVE-2026-15563 — серьёзная уязвимость высокого уровня опасности, позволяющая проводить MITM- и DoS-атаки через IIOP NameService в продуктах Red Hat. Организациям, использующим JBoss EAP, Fuse или Single Sign-On, следует оперативно установить обновления либо изолировать IIOP-интерфейсы от недоверенных сетей.Источник: CVE Project (cvelistV5)